Hướng dẫn sử dụng netflow analyzer

Cơ sở hạ tầng Công nghệ thông tin đang ngày càng phát triển hơn bao giờ hết trong thời đại 4.0, từ đó dẫn đến nhu cầu của bảo mật mạng ngày càng cao. Đối với những người làm việc trong lĩnh vực mạng thì chắc hẳn Netflow không phải là một cái tên xa lạ.

Công cụ này đã được tạo ra bởi Cisco nhiều năm trước đây, và đã trở thành tiêu chuẩn chính để thu thập thông tin lưu lượng IP. Dần dần, nó đã có được một vị trí nhất định trong lĩnh vực quản trị mạng với khả năng cung cấp dữ liệu về hiệu suất mạng, cũng như khả năng phân tích lưu lượng mạng rất tốt của mình.

Trong bài viết này, chúng ta sẽ cùng tìm hiểu về Netflow là gì.

Netflow là một công cụ được sử dụng rộng rãi cho việc thu thập và phân tích dữ liệu của network flow [luồng mạng]. Datagram của nó gồm nhiều thông tin khác nhau như Source Port, Dest Port, Source IP – Dest IP, giao thức IP và loại dịch vụ IP. Nếu ta thu thập thông tin từ các record của công cụ này trên những thiết bị enable Netflow [chẳng hạn như router, switch], ta sẽ hiểu rõ hơn nhiều thông tin về mạng. Chẳng hạn như nơi dữ liệu mạng đang đến và đi, số lượng lưu lượng đang được tạo ra, người dùng đang sử dụng băng thông nhiều nhất.

Các data point [điểm dữ liệu] này có thể được ứng dụng tìm kiếm những điểm bất thường, giám sát việc sử dụng băng thông, lập kế hoạch cho dung lượng của mạng, hay đánh giá mức hiệu quả của chính sách QoS.

Ngoài ra, Netflow còn có phiên bản thứ 10 – với tên gọi IPFIX. Nhưng đây là một phiên bản được kiểm soát bởi chính phủ.

Tiếp đến, hãy cùng tìm hiểu đôi chút về lịch sử hình thành của công cụ này. Hiện nay thì Netflow v5 chính là phiên bản được sử dụng phổ biến nhất. Sở dĩ vì nó đã có định dạng fixed packet, và vẫn được hỗ trợ bởi nhiều router khác nhau. Còn v7 và v8 thì chỉ có một số cải tiến, và hiện không còn được sử dụng nữa. Tiếp đến là phiên bản thứ 9, đã được đơn giản hóa đi nhiều vì được trang bị thêm FNF cùng định dạng dynamic packet.

Trải qua 9 phiên bản khác nhau, Netflow v9 – phiên bản mới nhất – vẫn giữ vững được vị trí của mình trong lĩnh vực mạng với hiệu suất tuyệt vời, cũng như là một thành phần quan trọng trong các hoạt động bảo mật.

Output chính của mọi phiên bản Netflow là một flow record. Trải qua các phiên bản, công cụ này đã cải thiện được định dạng của các bản flow record này, và định dạng phổ biến nhất chính là của phiên bản thứ 9. Netflow 9 giúp người dùng ghi lại hiệu suất mạng một cách linh hoạt, chính xác. Đồng thời nó cũng là nền tảng của một tiêu chuẩn IETF mới.

Sau đây là một số ứng dụng phổ biến nhất của Netflow Analyzer:

Dữ liệu của Netflow cho phép những người quản trị mạng mạng xem những bảng báo cáo đầy đủ về lưu lượng truy cập theo các interface, ứng dụng hoặc giao thức cụ thể trong mạng. Từ đó, người quản trị mạng có thể hiểu rõ hơn về lượng băng thông đang được sử dụng. Bằng cách xác định ra những người tiêu thụ băng thông nhiều nhất trong mạng, người quản trị mạng có thể lên kế hoạch tối ưu hóa việc sử dụng và lên kế hoạch sử dụng dung lượng.

Đối với các ứng dụng lưu trữ cloud như Office 365, thì lượng sử dụng internet trong các tổ chức thường sẽ cao hơn. Khi đó, việc phân tích lưu lượng mạng giúp admin biết được truy cập nào đã làm tăng băng thông. Từ đó rút ra được ảnh hưởng của Office 365 cũng như các ứng dụng cloud khác tác động đến băng thông mạng.

Netflow cung cấp khả năng hiển thị đầy đủ cho các mạng. Do đó ta có thể chỉ định các phần lưu lượng muốn theo dõi dựa trên các track cung cấp bởi công cụ này. Lấy ví dụ như ta muốn phân loại lưu lượng mạng HTTP/S theo port hoặc phân loại lưu lượng dựa theo giao thức được sử dụng. Khi đó, người quản trị mạng có thể quan sát lượng sử dụng băng thông tốt hơn [như nguồn và đích của lưu lượng]. Bên cạnh đó, admin cũng có thể tùy chỉnh dữ liệu theo nhu cầu – chẳng hạn như để record, phân tích chi tiết hay dùng để lên kế hoạch phù hợp.

Từ dữ liệu của Netflow, người quản trị có thể tương quan địa chỉ IP với người dùng đã truy cập. Qua đó có thể nhanh chóng dự đoán QoS [Quality of service] và phân bổ tài nguyên hợp lý cho mỗi người dùng. Đồng thời, thông qua việc biết được những người dùng đã giao tiếp với các địa chỉ IP, cũng như các ứng dụng người dùng đã truy cập, người quản trị còn có thể ngăn chặn nguy cơ mạng bị xâm nhập hay nhiễm malware.

Bảo mật mạng là một ứng dụng vô cùng quan trọng khác của Netflow. Thông qua việc theo dõi dữ liệu, admin có thể tìm ra nơi đang tiêu thụ tài nguyên nhiều nhất. Bởi vì như ta đã biết, các cuộc tấn công mạng thường sẽ tiêu thụ rất nhiêu tài nguyên, nên đây hoàn toàn có khả năng là một dấu hiệu cho các hoạt động vi phạm bảo mật an ninh mạng. Đồng thời, sử dụng trình phân tích nâng cao còn giúp ta theo dõi, ghi chép và cải thiện khả năng bảo mật của mạng.

Vậy cách thu thập dữ liệu của Netflow là gì? Thông thường, các admin sẽ sử dụng các công cụ giám sát của Netflow để thu thập và phân tích dữ liệu thu được. Công cụ này sử dụng một bộ thu thập [collector] để thu thập được các gói mạng. Sau đó xuất flow data từ các thiết bị đã enable Netflow. Tiếp đến, các admin sẽ sử dụng một Netflow Analyzer để xử lý flow data thô thành những thông tin chi tiết, có ý nghĩa thực tiễn.

Việc giám sát Netflow yêu cầu ba thành phần cơ bản sau:

• Flow exporter: là một thiết bị mạng [router, firewall] chịu trách nhiệm lấy flow data và xuất sang một flow collector.
• Flow collector: thiết bị thu thập flow data được xuất.
• Flow analyzer: ứng dụng kiểm tra và phân tích flow data thu được từ flow collector.

Vậy lý do sử dụng Netflow là gì? Các thống kê có được từ công cụ này rất hữu ích cho nhiều ứng dụng khác nhau. Sau đây là một số tính năng nổi bật nhất của Netflow:

• Giám sát mạng: Trước hết phải nói về khả năng giám sát mạng của công cụ này. Các doanh nghiệp và người dùng cá nhân có thể sử dụng các kỹ thuật phân tích flow-based với Netflow để trực quan hóa các mẫu lưu lượng ở trên toàn bộ mạng. Với góc nhìn bao quát này, các nhóm NetOps và SecOps hoàn toàn có thể giám sát thời điểm và tần suất người dùng truy cập vào một ứng dụng nào đó trong mạng. Bên cạnh đó, họ cũng có thể dùng dữ liệu từ Netflow để theo dõi tài nguyên sử dụng trên mạng. Từ đó nhanh chóng phát hiện ra bất kỳ sai phạm nào trên không gian mạng.
• Lập kế hoạch mạng: Các nhóm có thể ứng dụng Netflow vào việc theo dõi và dự đoán sự phát triển của mạng. Chẳng hạn, với công cụ này, ta có thể lập kế hoạch nâng cấp, tăng số lượng port hiện có, số lượng router hay cải tiến interface băng thông. Từ đó đáp ứng được mọi nhu cầu đến từ khách truy cập.
• Phân tích bảo mật: Với Netflow, các nhóm bảo mật có thể phát hiện nhanh chóng những thay đổi trong hành vi mạng. Từ đó xác định được các dấu hiệu bất thường của việc vi phạm bảo mật. Đồng thời, dữ liệu cũng là một bằng chứng trực quan, đáng giá để các nhóm bảo mật có thể học hỏi để rút ra được những phương pháp, kế hoạch bảo mật hợp lý nhất.

Vietnix vừa chia sẻ lợi ích Netflow để giúp bạn có thêm kiến thức cũng như có thể ứng dụng công cụ này vào thực tế để quản lý và giám sát mạng tốt hơn, chúc bạn thành công!